HybridPetya representa una evolución significativa del ransomware Petya y NotPetya. Este malware se distingue por su capacidad para infectar equipos con partición GPT, introduciendo un bootkit malicioso en la partición EFI.
Vulnerabilidades y técnicas empleadas
HybridPetya utiliza la vulnerabilidad CVE-2024-7344 para burlar las protecciones de Secure Boot. Esta técnica innovadora le permite infectar sistemas UEFI, introduciendo un bootloader modificado que sustituye archivos clave como bootmgfw.efi por uno malicioso y elimina componentes originales del arranque.
Descubrimiento y contexto histórico
HybridPetya fue descubierto recientemente por investigadores de ESET. Se inspira en Petya y NotPetya, que causaron daños significativos en 2016 y 2017 respectivamente.
Flujo de infección
El flujo de infección de HybridPetya simula errores mediante BSOD, reinicia el equipo para activar el bootkit, cifra datos críticos y exige un rescate al usuario. Incluye archivos como config, verify y un componente cifrador basado en Salsa20.
Riesgos asociados
HybridPetya puede incapacitar por completo el arranque de Windows. Compromete la restauración del sistema sin la clave de rescate. La aparición de HybridPetya como prueba de concepto sugiere que podrían surgir campañas futuras dirigidas a equipos vulnerables.
Recomendaciones de mitigación
- Se recomienda aplicar sin demora los parches de seguridad de enero de 2025 de Microsoft.
- Se sugiere mantener copias de seguridad offline de la información más relevante.
- Se sugiere activar doble factor de autenticación en plataformas críticas.
- Realizar auditorías periódicas de integridad en la partición EFI y eliminar permisos innecesarios de arranque son prácticas clave.
- Revisar los indicadores de compromiso publicados por ESET puede ayudar en la detección temprana.